Защита от здравого смысла: размышления специалиста по информационной безопасности

Правительство выпускает подзаконные акты к обновлённому ФЗ‑187, которые обязывают компании защищать всё, что попадает под определение «объект КИИ». На практике это может привести к абсурду — защите приборов, которые не имеют ни сетей, ни памяти. В статье — разбор рисков, примеров и способов подготовки.

Безопасность по букве закона: где заканчивается логика и начинается формальность

Как специалист по информационной безопасности, я не против регулирования. Наоборот: стандартизация и выработка единых правил — необходимы. Но эффективность любой нормы зависит от того, насколько она соответствует реальности. В данном случае — реальности отраслей, для которых эта норма разрабатывается.

Кто составляет списки — и для кого?

Главная проблема — в отрыве требований от контекста. Возьмем сферу здравоохранения. В одной из лабораторий используется медицинский прибор, который анализирует кровь и просто отображает результаты на экране. Он не сохраняет данные, не передаёт их в сеть, не имеет встроенного программного обеспечения, предназначенного для длительного хранения. Тем не менее, под новое постановление он может попасть как «объект КИИ», и тем самым подлежащая защите.

Что это означает для самой лаборатории:

1. Необходимость установить антивирус или иные средства защиты.
2. Назначить ответственного за поддержку этих решений.
3. Периодически обновлять программное обеспечение.
4. Оформлять отчётность о событиях безопасности.
5. И, возможно, закладывать бюджет на всё это в разы больший, чем стоимость самого прибора.

Получается, что организации заставляют искать защитные решения для систем, которые… не являются объектами КИИ. В лучшем случае — это нерационально. В худшем — мешает основным процессам, отвлекая ресурсы и людей на технические действия без реальной пользы. А в некоторых случаях — и вовсе невозможно: на аппарат может не существовать никакого совместимого ПО.

Защищать все — не значит защищать разумно

Парадокс: аппарат стоит 100 тысяч рублей, а система защиты для него — 1,5 миллиона. А если не поставить? Штраф, сопоставимый со стоимостью всего оборудования и выше. Фактически, новые требования создают риск экономической несостоятельности для организаций, особенно в бюджетной сфере — в медицине, образовании, муниципальных структурах. Где взять эти бюджеты? Где найти специалистов? Кто будет нести ответственность за то, что защиты просто не существует в природе?

ИТ не может знать всё про медицину. И наоборот

Другая сторона вопроса — методика подготовки этих нормативов. Нередко за составление перечней отвечают специалисты, которые хорошо разбираются в ИТ, но не имеют достаточной экспертизы в смежных отраслях. Так и появляются списки, в которые попадают устройства, не являющиеся объектами КИИ, но формально подлежащие защите.

Всё это напоминает попытку лечить зубы по фотографии. Без понимания процессов, специфики использования, архитектуры среды — невозможно создать работающие правила.

Где тонко — там и штрафы

Что делать?

До сентября остаётся не так много времени. Пока текст подзаконных нормативных правовых актов окончательно не опубликован, можно надеяться на доработку. Но как показывает практика, лучше быть готовыми заранее.

Пока есть время — важно разобраться, какие системы действительно подлежат защите, какие меры будут обоснованными, а какие окажутся избыточными и затратными.

Пошаговая проверка: относится ли ваша система к объектам КИИ.

Чтобы понять, нужно ли защищать ваше оборудование по требованиям Федерального закона № 187‑ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», важно определить, является ли оно объектом КИИ.

Закон выделяет три сущности объектов КИИ.

Информационная система. Это совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств (определение — ФЗ № 149‑ФЗ). Простой пример: база данных клиентов или ERP‑система, в которой ведётся учёт производства.

Информационно‑телекоммуникационная сеть. Это технологическая система, предназначенная для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники (определение — ФЗ № 149‑ФЗ). Например, корпоративная сеть с серверами и роутерами, через которую сотрудники обмениваются файлами.

Автоматизированная система управления (АСУ). Это комплекс программных и программно‑аппаратных средств, предназначенных для контроля за технологическим и (или) производственным оборудованием (исполнительными устройствами) и производимыми ими процессами, а также для управления такими оборудованием и процессами(определение — ФЗ № 187‑ФЗ). Если с первыми двумя всё обычно ясно, то именно АСУ чаще всего вызывает вопросы. АСУ — это система, которая контролирует или управляет чем‑то.

Информационная безопасность должна быть не галочкой в отчёте, а реальным щитом. И если мы хотим избежать абсурдных ситуаций вроде «штрафа за микроволновку», пора начинать подходить к защите систем с головой, при необходимости, проконсультируйтесь со специалистом — это поможет избежать ненужных расходов на защиту оборудования, которое под КИИ не подпадает.

Редактор: Ольга Олюнина